#2 Kamerový systém a GDPR: infopovinnosť a sprístupňovanie záznamov

Plnenie informačnej povinnosti prevádzkovateľov kamerových systémov voči dotknutým osobám a ochrana osobných údajov. V ďalšom článku o téme GDPR a kamerový systém sa venujeme najmä informačnej povinnosti. Vedeli ste, že „obyčajná“ nálepka s piktogramom kamery ako oboznámenie k monitorovaniu nestačí? Povieme vám prečo a ako sa s tým vysporiadať. V článku vychádzame z usmernenia EDPB a iných DPA v rámci EÚ¹

GDPR a kamerový systém – plnenie informačnej povinnosti

Informačná povinnosť je jednou zo základných povinností každého prevádzkovateľa, ktorý spracúva osobné údaje dotknutých osôb a je premietnutím zásady transparentnosti do praxe. Pri monitorovaní priestorov kamerovým systémom získavajú prevádzkovatelia osobné údaje priamo od dotknutých osôb, prostredníctvom ich zaznamenávania, a preto sa na prevádzkovateľov kamerových systémov vzťahuje povinnosť poskytnúť dotknutým informácie uvedené v čl. 13 GDPR Nariadenia. Rozsah informácií týkajúcich sa spracúvania osobných údajov, ktoré je prevádzkovateľ povinný dotknutej osobe pri plnení informačnej povinnosti poskytnúť, je pomerne rozsiahly. Viaceré dozorné orgány  v oblasti ochrany osobných údajov, na čele s Európskym výbor pre ochranu osobných údajov preto odporúčajú zvoliť „vrstvený“ prístup pri plnení informačnej povinnosti². Prevádzkovateľ pri tomto prístupe poskytuje informácie dotknutej osobe vo viacerých fázach, pričom môže využiť aj rôzne formy oboznamovania, napr. kombináciu textu s piktogramom alebo iným podobným zobrazením kamery.

V zmysle uvedeného je preto vhodné najdôležitejšie informácie o spracúvaní osobných údajov prostredníctvom kamerového systému poskytnúť dotknutým osobám prostredníctvom tzv. first layer oboznámenia, ktoré ma zvyčajne formu nálepky s piktogramom kamery. Zvyšné povinné informácie by mali byť dotknutým osobám poskytnuté iným spôsobom, napríklad ich zverejnením na webovej stránke, prípadne ich umiestnením na viditeľnom mieste v prevádzke.³ Uvedený spôsob plnenia informačnej povinnosti je v súčasnosti už pomerne široko rozšírený, v mnohých prípadoch však neobsahuje všetky povinné náležitosti. Pomerne často sa stretávame aj s tým, že práve piktogram kamery a informácia v znení „Priestory sú monitorované“ je tou jedinou informáciou, ktorú prevádzkovatelia dotknutým osobám poskytujú.

Alebo sa stretávame s tým, že na piktograme je uvedené, že prevádzkovateľom kamerového systému je subjekt, ktorý vám ho inštaloval – keďže vám poskytujú „nálepku“. Tento prístup tiež nie je správny.

Informačná povinnosť GDPR a kamerový systém – „first layer“ (prvá vrstva)

Ako by teda mala prvá vrstva oboznámenia o spracúvaní osobných údajov prostredníctvom kamerového systému vyzerať? Vzhľadom k tomu, že prostredníctvom tohto oznámenia sa dotknuté osoby prvýkrát dozvedia o tom, že v určených priestoroch prebieha spracúvane ich osobných údajov, je vhodné umiestniť na toto oboznámenie zreteľný znak znázorňujúci prebiehajúce monitorovanie, napr. spomínaný obrázok kamery. Okrem zobrazenia kamery, prostredníctvom ktorého bude zrejmé, že informácia sa týka kamerového systému, by malo toto oboznámenie obsahovať najdôležitejšie informácie o spracúvaní osobných údajov – vymedzenie účelov spracúvania, právny základ spracovateľskej operácie, identifikáciu a kontaktné údaje prevádzkovateľa a jeho zodpovednej osoby, ak je určená a informáciu o existencií práv dotknutých osôb spojených so spracúvaním ich osobných údajov. V prípade, ak je právnym základom spracúvania osobných údajov oprávnený záujem prevádzkovateľa, oboznámenie by malo obsahovať identifikáciu sledovaného oprávneného záujmu. Napokon, oboznámenie by malo obsahovať aj informáciu o tom, kde môžu dotknuté osoby nájsť všetky ďalšie povinné informácie o spracúvaní osobných údajov, napríklad prostredníctvom uvedenia adresy webovej stránky, kde sú všetky ďalšie informácie uvedené.

V prípade, ak je to relevantné, by prvá vrstva oboznámenia mala obsahovať aj informáciu o skutočnostiach, ktoré by mohli dotknuté osoby prekvapiť. Napríklad informáciu o tom, že osobné údaje sú prenášané do tretích krajín alebo informáciu o dobe uchovávania záznamu z kamerového systému. V prípade, ak by na tomto prvom oboznámení nebola uvedená informácia o tom, že prevádzkovateľ uchováva záznam z kamerového systému, dotknuté osoby by si mohli mylne myslieť, že ide výlučne iba o monitorovanie priestorov v reálnom čase bez záznamu.

Dôležité je aj umiestnenie prvej vrstvy oboznámenia, ktoré by malo byť umiestnené ešte pred samotným vstupom do monitorovaných priestorov, pretože prevádzkovateľ je povinný v zmysle čl. 13 poskytnúť dotknutým osobám informácie o spracúvaní ich osobných údajov ešte pred ich získaním, resp. pri ich získavaní. Oboznámenie odporúčame umiestniť pred vstupom (na dverách) do monitorovaného priestoru tak, aby si ich dotknutá osoba všimla. V prípade, že je nepochybné, ktoré priestory sú kamerovým systémom monitorované, first layer oboznámenie nemusí obsahovať presnú špecifikáciu monitorovaných priestorov. Pre vylúčenie akýchkoľvek pochybností však odporúčame monitorované priestory jednoduchým spôsobom špecifikovať tak, aby bolo dotknutým osobám jasné, ktoré priestory sú monitorované a ktoré nie (napríklad ak prevádzkovateľ monitoruje iba niektoré časti alebo miestnosti svojej prevádzky).

Ako príklad nesprávneho znenia prvej vrstvy oboznámenia, ktoré pôsobí pre dotknuté osoby zmätočne, je informácia o monitorovaní kamerovým systémom, ktorá sa nachádza na vstupe do väčšiny monitorovaných obcí a miest. Samosprávy ako prevádzkovatelia väčšinou uvádzajú, že „Obec je monitorovaná kamerovým systémom“. Z uvedenej formulácie vyplýva, že monitorovanie prebieha na celom území obce, čo v drvivej väčšine prípadov nie je pravda. Ako uvádza Úrad na ochranu osobných údajov Slovenskej republiky, v prípade obcí sa odporúča monitorované priestranstvá bližšie špecifikovať (napr. uvedením že „Priestory detského ihriska alebo priestory námestí a parkov obce sú monitorované kamerovým systémom“).

Zdroj: Odporúčanie EDPB – 3/2019 k spracúvaniu osobných údajov cez kamerový systém.

Kamerový systém a GDPR: informačná povinnosť – druhá vrstva

Druhá, nemenej dôležitá časť oboznámenia dotknutých osôb, by mala obsahovať všetky povinné informácie o spracúvaní osobných údajov podľa čl. 13 GDPR. Dokument, prostredníctvom ktorého si prevádzkovateľ plní informačnú povinnosť, by mal byť umiestnený tak, aby bol ľahko dostupný každej dotknutej osobe, napríklad na webovej stránke, pri pokladni alebo na recepcií zariadenia, ktoré je monitorované.

Tak ako „first layer“ oboznámenie, aj kompletná informačná povinnosť by mala byť dotknutým osobám k dispozícii k nahliadnutiu a mala byť formulovaná jasne a zrozumiteľne, aby informácie, ktoré obsahuje, pochopili všetky dotknuté osoby.

Vzhľadom na povinnosť prevádzkovateľa poskytnúť dotknutým osobám všetky informácie ešte pred ich získaním alebo pri ich získaní, odporúčame zvoliť kombináciu viacerých spôsobov umiestnenia informačnej povinnosti, napríklad na webovej stránke a súčasne aj na recepcii prevádzky. EDPB⁴ odporúča, aby v prípade, ak má prevádzkovateľ webovú stránku, boli informácie o spracúvaní osobných údajov dotknutých osôb zverejnené na webovej stránke vždy. Ideálne v pätičke webovej stránky, aby boli ľahko prístupné na minimum kliknutí.

Netreba však zabúdať ani na „znevýhodnené“ dotknuté osoby (staršie osoby, ZŤP a pod.). Preto považujeme za vhodné informácie o spracúvaní osobných údajov zverejniť okrem webovej stránky aj v tlačenej forme na inom mieste. Kombináciou viacerých metód plnenia informačnej povinnosti prevádzkovateľ zabezpečí, že informácie, ktoré je povinný dotknutým osobám poskytovať, budú poskytnuté všetkým dotknutým osobám, ktorých sa spracúvanie týka.

Na tému prevádzkovania a spracovania kamerových záznamov vo vzťahu k GDPR sme pripravili sériu videoškolení.

V prípade, že sa vám video nezobrazuje je potrebné povoliť zbieranie cookies. Videá by sa mali po sebe automaticky prehrať. 

Sprístupňovanie záznamov z kamerového systému

Sprístupňovanie osobných údajov sa považuje za samostatnú spracovateľskú operáciu. Pod sprístupňovaním sa rozumie prenos, rozširovanie alebo akékoľvek iné poskytovanie osobných údajov tretím stranám.⁵

Tak ako pri každej spracovateľskej operácií, aj sprístupňovanie osobných údajov je potrebné vykonávať v súlade so zásadou zákonnosti, t. j. na základe relevantného právneho základu v súlade so stanoveným účelom spracúvania. Napríklad, ak je účel spracúvania osobných údajov pri vyhotovovaní záznamov z kamerových systémov stanovený ako „Predchádzanie a riešenie protiprávnych konaní“, je prevádzkovateľ oprávnený v prípade, ak sa v jeho prevádzke vyskytne protiprávne konanie, poskytnúť záznam z kamerového systému svojmu právnemu zástupcovi a iným príslušným orgánom pri riešení náhrady škody alebo identifikácií páchateľa, pretože účel spracúvania a právny základ na vyhotovovanie kamerových záznamov, ako aj na jeho sprístupňovanie, je v tomto prípade rovnaký.

Na druhej strane, ak je účel spracúvania osobných údajov stanovený ako „Predchádzanie a riešenie protiprávnych konaní“, a prevádzkovateľ by chcel záznam z kamerového systému zverejniť na svojej webovej stránke (napríklad za účelom propagácie svojej prevádzky), ide o nový účel spracúvania osobných údajov dotknutých osôb, ktorý nie je totožný s pôvodne stanoveným účelom spracúvania. Prevádzkovateľ nie je bez ďalšieho oprávnený v tomto prípade záznam z kamerového systému zverejniť na svojej webovej stránke. Prevádzkovateľ je povinný na takéto spracúvanie stanoviť vhodný právny základ a splniť ďalšie povinnosti týkajúce sa ďalšieho spracúvania už získaných osobných údajov, najmä vykonanie testu kompatibility nového účelu s pôvodným účelom, na ktorý boli osobné údaje získané a splnenie informačnej povinnosti voči dotknutým osobám.

V prípade sprístupňovania záznamov z kamerových systémov orgánom činným v trestnom konaní je situácia odlišná a taktiež spadá pod právnu úpravu nariadenia GDPR. Pôvodný zákon o ochrane osobných údajov v § 15 výslovne ustanovoval, že priestor prístupný verejnosti je možné monitorovať len na účely ochrany verejného poriadku a bezpečnosti, odhaľovania kriminality, narušenia bezpečnosti štátu a ochrany majetku a zdravia. Záznam z kamerového systému bolo v zmysle tohto zákona možné použiť len na účely trestného konania alebo konania o priestupkoch. Nariadenie GDPR obdobné ustanovenie neobsahuje. Neznamená to však, že by prevádzkovateľ nemohol v súčasnosti záznamy z kamerového systému sprístupniť príslušným orgánom v trestnom alebo priestupkovom konaní. Sprístupnenie však vždy musí byť uskutočnené iba na základe relevantného právneho základu. Týmto právnym základom je plnenie zákonných povinností prevádzkovateľa, ktoré mu vyplývajú z osobitných právnych predpisov, upravujúcich trestné alebo priestupkové konanie, napríklad z Trestného poriadku. Trestný poriadok v § 89 ustanovuje, že každý kto má pri sebe vec dôležitú pre trestné konanie, je povinný ju na vyzvanie predložiť policajtovi, prokurátorovi alebo súdu. Sprístupnenie záznamov z kamerového systému je tak plnením zákonnej povinnosti prevádzkovateľa.

Vzhľadom na uvedené odporúčame už pri stanovovaní účelu spracúvania pri monitorovaní kamerovým systémom pamätať aj na túto zákonnú povinnosť prevádzkovateľa a oboznámiť dotknuté osoby aj s touto kategóriou potenciálnych príjemcov pri plnení informačnej povinnosti, teda so súdmi a orgánmi činnými v trestnom konaní.

Prečítajte si aj náš článok o Zákonnosti spracúvania – GDPR a kamerový systém.

Pozrite si naše videoškolenie k ochrane osobných údajov o tom, čo má obsahovať vaša GDPR dokumentácia:

V prípade, že sa vám video nezobrazuje je potrebné povoliť zbieranie cookies.

1. Pozn.: Data protection authorities. ↩

2. Pozn.: Príklad vrstveného prístupu nájdete aj v našej ochrane osobných údajov v pätičke stránky. ↩

3. Pozn.: Odporúčame zvoliť kombináciu viacerých spôsob na dodržanie zásady transparentnosti, pretože nie každá dotknutá osoba môže mať napr. prístup na internet, najmä pri starších osobách. ↩

4. Pozn.: Skratka pre Európsky výbor pre ochranu osobných údajov. ↩

5. Treťou stranou je v zmysle čl. 4 ods. 10 GDPR akákoľvek fyzická osoba, právnická osoba, orgán verejnej moci alebo agentúra, iná než prevádzkovateľ, sprostredkovateľ alebo osoby, ktoré na základe poverenia prevádzkovateľa alebo sprostredkovateľa spracúvajú osobné údaje. ↩

Získajte konkurenčnú výhodu vďaka aktívnemu prístupu k ochrane osobných údajov.

Pozrieť ponuku služieb